关于OpenVPN中签名CA验证机制及私有CA选用原因的技术问询

咱们先从你提到的这个场景说起：当OpenVPN配置了双向密钥对认证，且证书本身有效（比如有效期、签名算法都没问题），同时关闭了tls-crypt、CRL校验和通用名检查时，此时OpenVPN的身份验证逻辑就完全依赖CA的签名信任链——只要证书是由预先信任的CA签发的，就会被认可，其他额外校验都被跳过了。

没错，这确实是选用私有CA而非公共CA的核心原因之一，具体来说还有这些更细节的考量：

• 完全自主的管控权：公共CA的核心是服务于全球公开信任体系，颁发证书需要严格的身份审核，还得绑定可公开验证的域名或实体身份；而私有CA完全由你自己掌控，你可以给内部的VPN服务器、客户端随意签发证书，不用受外部规则约束，也不需要提交任何公开身份材料。
• 适配简化的校验需求：公共CA通常会强制要求启用CRL或OCSP这类证书吊销机制，以此保证证书的安全性；但在很多内部VPN场景里，你完全可以根据实际需求关闭这些校验（就像你假设的场景一样），用私有CA就能灵活调整这些规则，减少不必要的运维负担。
• 更可控的安全边界：私有CA的根证书只会在你的内部VPN环境里分发，不会暴露到公共网络中；就算出现证书泄露或CA密钥风险，影响范围也仅限你的VPN集群，远小于公共CA密钥泄露带来的全球性影响。
• 适配双向认证的批量需求：OpenVPN的双向认证要求服务器和客户端证书都由同一个CA签发，公共CA不仅很难支持这种批量给内部设备发证书的场景，还会产生高额的证书成本；私有CA则可以零成本实现全集群的签名管控，完美适配这种内部组网需求。

备注：内容来源于stack exchange，提问作者rvh